AGB & Datenschutz

1. Allgemeine Geschäftsbedingungen (AGB)

Aufbau dieser Fassung 2.0: Abschnitt 1 (§§ 1–13) enthält die allgemeinen Bedingungen. Sie gelten für die kostenlose Beta-Nutzung und, soweit Abschnitt 1a nichts anderes bestimmt, auch für kostenpflichtige Tarife, die nach Abschnitt 1a gebucht werden (ab Fassung 2.0). Für kostenpflichtige Tarife, die ab Veröffentlichung dieser Fassung im Bereich „Lizenz & Abrechnung“ gebucht werden, gelten vorrangig die Besonderen Bedingungen in Abschnitt 1a. Regelungen in Abschnitt 1, die sich ausdrücklich an Verbraucher oder an Kunden in Österreich oder der Schweiz richten, gelten für kostenpflichtige Tarife, die nach Abschnitt 1a gebucht werden (ab Fassung 2.0), nicht.

§ 1 Geltungsbereich

Diese Allgemeinen Geschäftsbedingungen gelten für alle Verträge zwischen Jörg Lortz, Einzelunternehmen, Friedhofstr. 2a, 63500 Seligenstadt (nachfolgend „Anbieter") und dem Auftraggeber (nachfolgend „Kunde") über die Nutzung der SaaS-Software „SL-UP Urlaubsplaner" (nachfolgend „Software"). Für Verträge, die vor Inkrafttreten dieser Fassung mit Software und Büroservice Christine Schremmer geschlossen wurden, gilt der Übergang nach Abschnitt 1b.

Abweichende, entgegenstehende oder ergänzende Allgemeine Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, der Anbieter stimmt ihrer Geltung ausdrücklich zu.

§ 2 Vertragsgegenstand

Gegenstand des Vertrages ist die zeitlich begrenzte Überlassung der webbasierten Software „SL-UP Urlaubsplaner" als Software-as-a-Service (SaaS) zur Verwaltung von Urlauben, Abwesenheiten und Abwesenheitsanträgen in Unternehmen. Der Anbieter stellt die Software über das Internet bereit und räumt dem Kunden das nicht ausschließliche, nicht übertragbare Recht ein, die Software für eigene betriebliche Zwecke zu nutzen.

§ 3 Leistungsumfang

Der Anbieter erbringt folgende Leistungen:

• Bereitstellung der SaaS-Software über einen Webbrowser
• Speicherung und Verarbeitung der vom Kunden eingegebenen Daten
• Datensicherung und -wiederherstellung im Rahmen der vereinbarten Service Level
• Technischer Support per E-Mail während der regulären Geschäftszeiten (Mo–Fr, 9–17 Uhr)
• Updates und Weiterentwicklungen der Software nach eigenem Ermessen des Anbieters

§ 4 Preise und Zahlungsbedingungen

Kostenlose Beta-Version: Während der offenen Beta stellt der Anbieter eine kostenlose Version („Privat") zu Testzwecken bereit. Die Nutzung ist unverbindlich; Funktionsumfang, Leistungsmerkmale und Konditionen können sich während der Beta ändern. Die Anzahl der Benutzerkonten je Kunde kann im Rahmen einer fairen Nutzung begrenzt werden; größere Teams können sich an den Anbieter wenden. Für die Privat-Version fallen während der Beta keine Entgelte an; es sind keine Zahlungsdaten erforderlich. Ein automatischer Übergang in eine Bezahlpflicht findet nicht statt — nach Ende der Beta entscheidet der Kunde aktiv, ob er einen Tarif wählt. Der Anbieter wird das Ende der Beta und etwaige Änderungen der kostenlosen Nutzung mit angemessener Vorankündigung (mindestens 4 Wochen) per E-Mail mitteilen. Ein Anspruch auf dauerhafte oder ununterbrochene Bereitstellung der kostenlosen Version besteht nicht. Die nachstehenden Regelungen zu Preisen, Zahlung und Laufzeit sowie § 5 gelten nur für kostenpflichtige Verträge, die vor Inkrafttreten dieser Fassung 2.0 geschlossen wurden. Für kostenpflichtige Tarife, die ab dann gebucht werden, gelten ausschließlich die Regelungen zu Entgelt, Zahlung, Rechnungen, Laufzeit, Kündigung und Zahlungsverzug in Abschnitt 1a.

Die Preise ergeben sich aus dem zum Zeitpunkt der Bestellung gültigen Preismodell auf der Website des Anbieters. Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer (DE: 19 %, AT: 20 %, CH: 0 %). Die Abrechnung erfolgt monatlich oder jährlich im Voraus. Die jährliche Abrechnung ist 13 % günstiger als 12 Monatszahlungen.

Rechnungen sind innerhalb von 14 Tagen nach Ausstellung ohne Abzug fällig. Bei Zahlungsverzug ist der Anbieter berechtigt, den Zugang zur Software zu sperren.

§ 5 Vertragslaufzeit und Kündigung

Verträge mit monatlicher Abrechnung haben eine Mindestlaufzeit von einem Monat. Nach Ablauf der Erstlaufzeit verlängert sich der Vertrag auf unbestimmte Zeit. Er kann dann jederzeit mit einer Frist von einem Monat zum Ende eines Kalendermonats gekündigt werden.

Verträge mit jährlicher Abrechnung haben eine Mindestlaufzeit von einem Jahr. Nach Ablauf der Erstlaufzeit verlängert sich der Vertrag auf unbestimmte Zeit. Er kann dann jederzeit mit einer Frist von einem Monat zum Ende eines Kalendermonats gekündigt werden.

Die Kündigung kann über den Kündigungsbutton, per E-Mail an [email protected] oder postalisch in Textform erfolgen (§ 312k BGB).

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

§ 6 Verfügbarkeit und Service Level

Der Anbieter bemüht sich um eine Verfügbarkeit der Software von 99 % im monatlichen Durchschnitt. Hiervon ausgenommen sind geplante Wartungsfenster (in der Regel nachts zwischen 2–4 Uhr), höhere Gewalt sowie Ausfälle, die außerhalb des Einflussbereichs des Anbieters liegen (z. B. Internetausfälle, Ausfälle bei Cloud-Anbietern).

§ 7 Pflichten des Kunden

• Der Kunde ist verpflichtet, seine Zugangsdaten vertraulich zu behandeln und vor unbefugtem Zugriff zu schützen.
• Der Kunde ist verantwortlich für die Richtigkeit der eingegebenen Daten.
• Eine Weitergabe der Zugangsdaten an Dritte außerhalb des Unternehmens ist nicht gestattet.
• Der Kunde ist verpflichtet, den Anbieter unverzüglich über einen Missbrauch der Zugangsdaten zu informieren.
• Die Software darf nicht für illegale Zwecke oder in einer Weise genutzt werden, die Dritte schädigt.

§ 8 Haftung

Der Anbieter haftet unbeschränkt für Schäden, die durch Vorsatz oder grobe Fahrlässigkeit verursacht wurden, sowie für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit. Für leichte Fahrlässigkeit haftet der Anbieter nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten — d.h. Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertraut und vertrauen darf), beschränkt auf den vorhersehbaren, vertragstypischen Schaden. Eine weitergehende Haftung ist ausgeschlossen. Für kostenpflichtige Tarife, die nach Abschnitt 1a gebucht werden (ab Fassung 2.0), gilt stattdessen § 13 der Besonderen Bedingungen (Abschnitt 1a).

§ 9 Geistiges Eigentum

Die Software und alle damit verbundenen Rechte (Urheberrechte, Markenrechte etc.) verbleiben beim Anbieter. Der Kunde erhält ausschließlich das eingeschränkte Nutzungsrecht gemäß diesen AGB. Eine Vervielfältigung, Verbreitung, Bearbeitung oder sonstige Nutzung über das vereinbarte Maß hinaus ist ohne ausdrückliche schriftliche Zustimmung des Anbieters untersagt.

§ 10 Änderungen der AGB

Der Anbieter behält sich vor, diese AGB zu ändern, soweit dies sachlich gerechtfertigt ist.

Für Geschäftskunden (B2B): Änderungen werden dem Kunden mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt. Der Kunde hat das Recht, den Vertrag zum Änderungszeitpunkt zu kündigen. Auf dieses Kündigungsrecht wird der Anbieter in der Änderungsmitteilung gesondert hinweisen.

Für Verbraucher (B2C): Wesentliche Änderungen der AGB bedürfen der ausdrücklichen Zustimmung des Kunden. Ohne ausdrückliche Zustimmung entfalten wesentliche Änderungen gegenüber Verbrauchern keine Wirkung. Wesentlich sind insbesondere: Preiserhöhungen, Einschränkungen des Leistungsumfangs, Änderungen der Haftungsregeln und Änderungen der Laufzeit- oder Kündigungsbedingungen. Nicht wesentlich sind redaktionelle Korrekturen ohne inhaltliche Änderung (z. B. Rechtschreibfehler, Klarstellungen ohne Rechtswirkung).

§ 11 Anzuwendendes Recht und Gerichtsstand

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Für Streitigkeiten aus diesem Vertrag mit Geschäftskunden (B2B) ist ausschließlicher Gerichtsstand, soweit gesetzlich zulässig, Seligenstadt (Hessen), Deutschland.

Für Verbraucher mit Wohnsitz in Deutschland gilt gemäß § 29c ZPO der Wohnsitz des Verbrauchers als Gerichtsstand; der Anbieter kann den Verbraucher zudem an dessen Wohnsitzgericht verklagen.

Schweizer Kunden: Für Verbraucher mit Wohnsitz in der Schweiz gilt gem. Art. 17 LugÜ als Gerichtsstand abweichend der Wohnsitz des Verbrauchers. Das schweizerische zwingende Verbraucherschutzrecht bleibt unberührt.

Österreichische Kunden: Für Verbraucher mit Wohnsitz in Österreich gilt gem. Art. 6 Rom-I-VO das zwingende österreichische Verbraucherschutzrecht (KSchG) unabhängig der Rechtswahl.

Für kostenpflichtige Tarife, die nach Abschnitt 1a gebucht werden (ab Fassung 2.0), gelten die vorstehenden Regelungen für Verbraucher sowie die §§ 12 und 13 (Schweiz, Österreich) nicht; diese Tarife werden nur Unternehmern mit Sitz in Deutschland angeboten (Abschnitt 1a, § 1).

§ 12 Besonderheiten Schweiz (revDSG / nDSG)

Für Kunden mit Sitz oder Wohnsitz in der Schweiz gilt ergänzend das revidierte Datenschutzgesetz (revDSG, in Kraft seit 01.09.2023):

• Art. 19 revDSG: Bei Bekanntgabe von Personendaten in das EU-Ausland (Server in Deutschland) stützen wir uns auf die Adäquanzentscheidung der Schweiz gegenüber der EU sowie auf Art. 16 Abs. 2 revDSG (Standardvertragsklauseln als Fallback).
• Art. 24 revDSG: Datenschutzverletzungen werden dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet, sofern die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.
• Art. 12 revDSG: Ein Bearbeitungsverzeichnis wird geführt und ist auf Anfrage zugänglich.
• Besonders schützenswerte Personendaten (Art. 9 nDSG / Art. 31 Abs. 2 lit. a nDSG): Soweit Kunden Krankmeldungen ihrer Mitarbeitenden über SL-UP erfassen, handelt es sich um besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c nDSG. Die Bearbeitung stützt sich auf Art. 31 Abs. 2 lit. a nDSG (Einwilligung der betroffenen Person) sowie auf das Arbeitsrecht als Rechtfertigungsgrund. Alternativ kann der Arbeitgeber die gesetzliche Grundlage Art. 328b OR i.V.m. dem Arbeitsvertrag heranziehen. Es werden ausschließlich Abwesenheitsdaten (Zeitraum, Typ) ohne medizinische Details gespeichert.

§ 13 Besonderheiten Österreich

Für Kunden mit Sitz oder Wohnsitz in Österreich gilt ergänzend:

• Der Anbieter ist in Deutschland niedergelassen und erbringt seine Dienste im Fernabsatz nach Österreich.
• E-Mail-Marketing erfolgt ausschließlich nach ausdrücklicher Einwilligung gemäß § 107 TKG AT.
• Für Arbeitgeber: Zeiterfassung und Schichtplanung unterliegen der Mitbestimmung nach § 97 Abs. 1 Z 2 ArbVG (AT).
• Gesundheitsdaten (§ 11 Abs. 2 lit. b DSG-AT i.V.m. Art. 9 Abs. 2 lit. b DSGVO): Soweit Kunden Krankmeldungen ihrer Mitarbeitenden über SL-UP erfassen, werden diese Daten als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO auf Grundlage von § 11 Abs. 2 lit. b DSG-AT (Verarbeitung besonderer Kategorien personenbezogener Daten im Rahmen des Arbeitsrechts) verarbeitet. Es werden ausschließlich Abwesenheitsdaten (Zeitraum, Typ „Krank") ohne medizinische Details oder Diagnosen gespeichert.

1a. Besondere Bedingungen für entgeltliche Tarife (B2B)

Vertragspartner für entgeltliche Tarife ist Jörg Lortz, Einzelunternehmen, Friedhofstr. 2a, 63500 Seligenstadt, USt-IdNr. DE237915275 (nachfolgend „Anbieter"). Diese Besonderen Bedingungen gehen den allgemeinen Bedingungen in Abschnitt 1 vor.

§ 1 Geltungsbereich, ausschließlich Unternehmer

(1) Kostenpflichtige Tarife bietet der Anbieter ausschließlich Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen mit Sitz in Deutschland an. Verträge mit Verbrauchern im Sinne des § 13 BGB werden nicht geschlossen.

(2) Bei der Buchung bestätigt der Kunde, dass er in Ausübung seiner gewerblichen oder selbständigen beruflichen Tätigkeit handelt, und gibt Firma und Geschäftsanschrift an. Der Anbieter darf geeignete Nachweise verlangen (z. B. USt-IdNr., Handels- oder Gewerberegisterauszug) und die Buchung ablehnen, wenn Zweifel an der Unternehmereigenschaft bestehen.

§ 2 Vertragsschluss

Der Vertrag über einen kostenpflichtigen Tarif kommt zustande, wenn der Administrator des Kunden im Bereich „Lizenz & Abrechnung“ Leistungsumfang und Abrechnungsweise wählt, die Rechnungsdaten angibt, diese Bedingungen akzeptiert, die Schaltfläche „Kostenpflichtig buchen“ betätigt und die erste Zahlung autorisiert. Der Anbieter bestätigt den Vertragsschluss per E-Mail. Der Administrator versichert, zur Vertretung des Kunden berechtigt zu sein. Mit der Buchung schließt der Kunde zugleich den Auftragsverarbeitungsvertrag in der bei Buchung angezeigten Fassung mit dem Anbieter.

§ 3 Leistungsumfang, Module, Konten-Obergrenze

(1) Der Leistungsumfang ergibt sich aus den gebuchten Modulen und Paketen gemäß der bei Buchung gültigen Leistungsbeschreibung und Preisliste, die im Bereich „Lizenz & Abrechnung“ jederzeit abrufbar ist.

(2) Der Kunde bucht eine Obergrenze aktiver Benutzerkonten („Konten“). Abgerechnet wird die gebuchte Obergrenze, nicht die tatsächlich genutzte Zahl. Weitere Konten kann der Kunde erst nach Erhöhung der Obergrenze anlegen.

(3) Eine Erhöhung der Obergrenze oder zusätzliche Module wirken sofort. Für die laufende Abrechnungsperiode wird der anteilige Betrag sofort berechnet. Eine Verringerung oder die Abbestellung von Modulen wirkt zum Ende der laufenden Abrechnungsperiode, eine anteilige Erstattung erfolgt nicht.

(4) Die unentgeltliche Nutzung der kostenlosen Version („Privat“, Abschnitt 1, § 4) ist kein kostenpflichtiger Tarif. Für sie gelten diese Besonderen Bedingungen nicht.

§ 4 Entgelt

(1) Es gilt die bei Buchung im Bereich „Lizenz & Abrechnung“ angezeigte Preisliste. Alle Preise sind Nettopreise zuzüglich der gesetzlichen Umsatzsteuer (derzeit 19 %).

(2) Das Entgelt ist für die jeweilige Abrechnungsperiode (Monat oder Jahr) im Voraus fällig, erstmals mit Vertragsschluss, danach jeweils zum Beginn der Periode.

(3) Weist die Preisliste einen Mindestbetrag je Abrechnungsperiode aus, wird mindestens dieser Betrag berechnet.

(4) Bei jährlicher Abrechnung gilt der in der Preisliste ausgewiesene Jahrespreis.

§ 5 Zahlung

(1) Die Zahlung erfolgt per Kreditkarte oder SEPA-Lastschrift (SEPA-Basislastschriftverfahren). Zahlungsdienstleister ist die Stripe Payments Europe, Limited, Dublin, Irland. Der Kunde ermächtigt den Anbieter, fällige Beträge vom gewählten Zahlungsmittel einzuziehen.

(2) Bei SEPA-Lastschrift erteilt der Kunde ein Lastschriftmandat. Die Frist für die Vorabankündigung (Pre-Notification) wird auf zwei Kalendertage vor Fälligkeit verkürzt. Die Ankündigung kann mehrere wiederkehrende Abbuchungen gleicher Höhe zusammenfassen.

(3) Kosten, die durch eine vom Kunden zu vertretende Rücklastschrift oder Rückbuchung tatsächlich entstehen, trägt der Kunde.

(4) Der Kunde hält seine Rechnungs- und Zahlungsdaten aktuell.

§ 6 Rechnungen

(1) Der Anbieter stellt Rechnungen elektronisch aus und stellt sie im Bereich „Lizenz & Abrechnung“ bereit. Der Kunde stimmt der Übermittlung von Rechnungen in elektronischer Form zu, auch als PDF, soweit das Gesetz dies zulässt. Ist eine elektronische Rechnung im Sinne von § 14 Abs. 1 Satz 3 UStG vorgeschrieben, erhält der Kunde sie in einem Format nach der europäischen Norm EN 16931.

(2) Einwendungen gegen eine Rechnung erhebt der Kunde innerhalb von sechs Wochen nach Zugang in Textform. Gesetzliche Ansprüche nach Fristablauf bleiben unberührt.

§ 7 Laufzeit und Kündigung

(1) Monatliche Abrechnung: Der Vertrag läuft einen Monat und verlängert sich jeweils um einen weiteren Monat, wenn er nicht bis zum Ende der laufenden Periode gekündigt wird.

(2) Jährliche Abrechnung: Der Vertrag läuft zwölf Monate und verlängert sich jeweils um weitere zwölf Monate, wenn er nicht bis zum Ende der laufenden Periode gekündigt wird. Das Recht auf Anbieterwechsel nach § 10 Abs. 2 bleibt unberührt.

(3) Die Kündigung ist im Bereich „Lizenz & Abrechnung“, per E-Mail an [email protected] oder in Textform möglich. Mit Wirksamwerden endet der kostenpflichtige Tarif. Die Daten bleiben erhalten; der Mandant fällt auf die kostenlose Version („Privat“) zurück, soweit deren Umfang ausreicht. Andernfalls gilt der Lesemodus nach § 9 Abs. 2 entsprechend, bis der Kunde Umfang oder Daten anpasst oder das Konto auflöst.

(4) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

§ 8 Preisänderungen

(1) Der Anbieter kann die Preisliste mit Wirkung für die Zukunft ändern. Eine Änderung gilt für bestehende Verträge frühestens ab der ersten Abrechnungsperiode, die mindestens sechs Wochen nach Zugang der Änderungsmitteilung in Textform beginnt.

(2) Bei einer Preiserhöhung kann der Kunde den Vertrag bis zum Wirksamwerden der Erhöhung auf diesen Zeitpunkt kündigen. Auf dieses Recht, die Frist und die Folgen weist der Anbieter in der Mitteilung hin.

(3) Preissenkungen und Änderungen zugunsten des Kunden kann der Anbieter jederzeit weitergeben.

§ 9 Zahlungsverzug, Lesemodus

(1) Schlägt der Einzug fehl oder wird eine Zahlung zurückgebucht, versucht der Anbieter den Einzug erneut und informiert den Kunden. Ist ein fälliger Betrag 14 Tage nach Fälligkeit nicht bezahlt, gerät der Kunde in Verzug; § 286 BGB bleibt unberührt. Es gelten die gesetzlichen Verzugszinsen und die Pauschale nach § 288 Abs. 2 und 5 BGB.

(2) Während des Verzugs kann der Anbieter sein Leistungsverweigerungsrecht dadurch ausüben, dass er den Mandanten in einen Lesemodus versetzt: Alle Benutzer können die gespeicherten Daten weiter einsehen. Der Kunde kann seine Daten über die Exportfunktionen jederzeit vollständig herunterladen, und Anfragen betroffener Personen bleiben bearbeitbar. Neue Einträge und Änderungen sind bis zum Zahlungseingang gesperrt. Der Anbieter kündigt den Lesemodus vorher mit einer Frist von mindestens 7 Tagen an. Eine Sperrung des Zugangs wegen Zahlungsrückstands nach Abschnitt 1, § 4, und Nr. 2.5 der Nutzungsbedingungen findet bei entgeltlichen Tarifen nicht statt; es gilt allein dieser Lesemodus.

(3) Daten werden wegen Zahlungsverzugs nicht gelöscht. Der Vertrag endet nicht automatisch; das Recht beider Parteien zur Kündigung bleibt unberührt.

(4) Nach Zahlungseingang hebt der Anbieter den Lesemodus unverzüglich auf.

§ 10 Datenexport und Anbieterwechsel (EU Data Act)

(1) Der Kunde kann seine Daten jederzeit über die Exportfunktionen in gängigen, maschinenlesbaren Formaten herunterladen. Der Export ist in allen Tarifen und in der kostenlosen Version unentgeltlich.

(2) Verlangt der Kunde den Wechsel zu einem anderen Anbieter oder in eine eigene Umgebung (Art. 23 ff. Verordnung (EU) 2023/2854), gilt: Die Kündigungsfrist zur Einleitung des Wechsels beträgt höchstens zwei Monate. Der Anbieter unterstützt den Wechsel während einer Übergangszeit von höchstens 30 Kalendertagen, stellt die exportierbaren Daten danach mindestens 30 Kalendertage zum Abruf bereit und löscht sie anschließend vollständig, soweit keine gesetzliche Aufbewahrungspflicht besteht. Wechselentgelte erhebt der Anbieter nicht.

(3) Exportierbar sind alle Daten, die der Kunde und seine Benutzer eingegeben haben oder die bei der Nutzung im Mandanten des Kunden entstanden sind, insbesondere Stammdaten der Beschäftigten, Abwesenheiten, Zeitbuchungen, Schichten und Einstellungen. Soweit eine Datenkategorie nicht über die Exportfunktionen abrufbar ist, stellt der Anbieter sie auf Anfrage in einem gängigen, maschinenlesbaren Format bereit. Nicht exportiert werden der Quellcode und die interne Funktionsweise der Software, Geschäftsgeheimnisse des Anbieters sowie Sicherheitsdaten wie Passwort-Hashes und Schlüssel.

(4) Informationen zu Wechselverfahren, Datenformaten und Standort der Infrastruktur (Rechenzentren in Deutschland) stehen im Trust-Center und sind auf Anfrage unter [email protected] erhältlich.

§ 11 Pflichten des Kunden

Ergänzend zu § 7 in Abschnitt 1 gilt:

• Der Kunde ist für richtige und vollständige Eingaben verantwortlich, insbesondere für Stammdaten, Urlaubsansprüche, Arbeitszeitmodelle und Feiertagsregionen.
• Der Kunde konfiguriert Arbeitszeit-, Pausen- und Urlaubsregeln in eigener Verantwortung so, dass sie seinen gesetzlichen, tarifvertraglichen und betrieblichen Vorgaben entsprechen.
• Der Kunde prüft Arbeitszeit- und Abwesenheitsdaten sowie DATEV- und andere Exporte auf Richtigkeit und Vollständigkeit und gibt sie frei, bevor er sie für die Lohnabrechnung, gegenüber Behörden oder Gerichten oder in sonstiger rechtlich erheblicher Weise verwendet.
• Der Kunde sichert seine Daten in angemessenen Abständen zusätzlich selbst, indem er sie über die Exportfunktionen herunterlädt und aufbewahrt. Die Datensicherung des Anbieters (Abschnitt 1, § 3) ersetzt diese eigene Sicherung nicht.

§ 12 Keine Beratung, keine Garantien

(1) SL-UP ist ein Werkzeug zur Organisation von Abwesenheiten, Arbeitszeiten und Schichten. Der Anbieter erbringt keine Lohn-, Steuer- oder Rechtsberatung. Berechnungen, Hinweise, Vorlagen und Auswertungen der Software unterstützen den Kunden, ersetzen aber keine fachliche Prüfung im Einzelfall.

(2) Der Anbieter übernimmt keine Garantien und sichert keine Eigenschaften der Software zu, soweit dies nicht ausdrücklich und schriftlich als Garantie vereinbart ist. Angaben zu Verfügbarkeit, Reaktions- und Wiederherstellungszeiten (Service Level) sind Zielwerte.

§ 13 Haftung

(1) Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz sowie im Umfang einer ausdrücklich übernommenen Garantie.

(2) Bei leichter Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht, also einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertraut und vertrauen darf. Die Haftung ist in diesem Fall auf den vertragstypischen, vorhersehbaren Schaden begrenzt, je Schadensfall höchstens auf die Vergütung, die der Kunde in den zwölf Monaten vor dem schadensbegründenden Ereignis an den Anbieter gezahlt hat, mindestens jedoch auf 5.000 € je Schadensfall.

(3) Im Übrigen ist die Haftung bei leichter Fahrlässigkeit ausgeschlossen. Die vorstehenden Beschränkungen gelten auch zugunsten der Erfüllungsgehilfen des Anbieters.

§ 14 Übergang aus der Beta

(1) Für Kunden, die SL-UP während der offenen Beta unentgeltlich nutzen, ändert sich durch diese Besonderen Bedingungen nichts. Ein Übergang in einen kostenpflichtigen Tarif erfolgt nur durch eine eigene Buchung des Kunden nach § 2.

(2) Die bisherigen Zusagen zur Beta-Nutzung (Abschnitt 1, § 4 Abs. 1) bleiben unberührt.

§ 15 Anwendbares Recht, Gerichtsstand

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus entgeltlichen Verträgen ist, soweit gesetzlich zulässig, Seligenstadt (Hessen).

1b. Wechsel des Vertragspartners bei bestehenden Verträgen

Für Verträge, die vor Inkrafttreten dieser Fassung mit Software und Büroservice Christine Schremmer, Odenwaldring 13, 63500 Seligenstadt, geschlossen wurden, tritt Jörg Lortz mit Wirkung zu dem 10.10.2026 an deren Stelle (Vertragsübernahme). Das gilt auch für den mit diesen Verträgen geschlossenen Auftragsverarbeitungsvertrag. Kunden, die damit nicht einverstanden sind, können der Übernahme bis zum 10.11.2026 per E-Mail an [email protected] widersprechen oder den Vertrag jederzeit beenden. Der Vertrag endet in diesem Fall mit Zugang des Widerspruchs, spätestens zum Ablauf der Widerspruchsfrist.

Widerspricht ein Kunde, endet sein Vertrag mit Zugang des Widerspruchs, spätestens zum Ablauf der Widerspruchsfrist. Bis dahin kann er seine Daten jederzeit über die Exportfunktionen herunterladen; danach werden sie nach § 9 des Auftragsverarbeitungsvertrags zurückgegeben bzw. gelöscht.

Inhalt und Umfang der bestehenden Verträge, insbesondere die kostenlose Beta-Nutzung, ändern sich durch den Wechsel des Vertragspartners nicht. Die bisher geltenden Fassungen sind als Archiv abrufbar: AGB und Datenschutzerklärung 1.6 und AVV 1.2.

2. Widerrufsbelehrung

§ 1 Widerrufsrecht

Sie haben das Recht, binnen 14 Tagen ohne Angabe von Gründen diesen Vertrag zu widerrufen.

Die Widerrufsfrist beträgt 14 Tage ab dem Tag des Vertragsschlusses.

§ 2 Ausübung des Widerrufs

Um Ihr Widerrufsrecht auszuüben, müssen Sie uns mittels einer eindeutigen Erklärung (z. B. ein mit der Post versandter Brief oder eine E-Mail) über Ihren Entschluss, diesen Vertrag zu widerrufen, informieren. Sie können dafür das beigefügte Muster-Widerrufsformular verwenden, das jedoch nicht vorgeschrieben ist.

Empfänger des Widerrufs:
Jörg Lortz
Friedhofstr. 2a, 63500 Seligenstadt
E-Mail: [email protected]

Zur Wahrung der Widerrufsfrist reicht es aus, dass Sie die Mitteilung über die Ausübung des Widerrufsrechts vor Ablauf der Widerrufsfrist absenden.

§ 3 Folgen des Widerrufs

Wenn Sie diesen Vertrag widerrufen, haben wir Ihnen alle Zahlungen, die wir von Ihnen erhalten haben, einschließlich der Lieferkosten (mit Ausnahme der zusätzlichen Kosten, die sich daraus ergeben, dass Sie eine andere Art der Lieferung als die von uns angebotene, günstigste Standardlieferung gewählt haben), unverzüglich und spätestens binnen 14 Tagen ab dem Tag zurückzuzahlen, an dem die Mitteilung über Ihren Widerruf dieses Vertrags bei uns eingegangen ist.

Für diese Rückzahlung verwenden wir dasselbe Zahlungsmittel, das Sie bei der ursprünglichen Transaktion eingesetzt haben, es sei denn, mit Ihnen wurde ausdrücklich etwas anderes vereinbart; in keinem Fall werden Ihnen wegen dieser Rückzahlung Entgelte berechnet.

§ 4 Vorzeitiges Erlöschen des Widerrufsrechts bei digitalen Dienstleistungen

Das Widerrufsrecht erlischt vorzeitig bei einem Vertrag über die Erbringung von digitalen Dienstleistungen (SaaS), wenn der Anbieter mit der Ausführung des Vertrags begonnen hat, nachdem der Kunde:

• ausdrücklich zugestimmt hat, dass der Anbieter mit der Ausführung des Vertrags vor Ablauf der Widerrufsfrist beginnt, und
• seine Kenntnis davon bestätigt hat, dass er durch seine Zustimmung mit Beginn der Ausführung des Vertrags sein Widerrufsrecht verliert.

Rechtsgrundlage: § 356 Abs. 5 BGB i.V.m. Art. 246a § 1 Abs. 2 Satz 1 Nr. 1 und Nr. 3 EGBGB (Fassung seit 28.05.2022). Soweit Leistungen bereits vor Widerruf erbracht wurden, ist Wertersatz nach § 357 Abs. 8 BGB zu leisten, der sich anteilig nach dem Verhältnis der erbrachten Leistung zum Vertragsumfang berechnet.

§ 5 Muster-Widerrufsformular

(Wenn Sie den Vertrag widerrufen wollen, dann füllen Sie bitte dieses Formular aus und senden Sie es zurück.)

Gemäß Anlage 2 zu Art. 246a § 1 Abs. 2 Satz 2 EGBGB.

3. Nutzungsbedingungen

2.1 Registrierung und Zugang

Die Nutzung von SL-UP setzt eine Registrierung voraus. Bei der Registrierung sind korrekte und vollständige Angaben zu machen. Pro Unternehmen wird ein Mandanten-Account eingerichtet; Benutzerkonten werden vom Administrator des Mandanten angelegt.

2.2 Erlaubte Nutzung

SL-UP darf ausschließlich für betriebliche Zwecke der Urlaubsplanung und Abwesenheitsverwaltung genutzt werden. Die Software ist für die interne Nutzung durch Mitarbeiter eines Unternehmens konzipiert.

2.3 Verbotene Nutzung

Folgende Nutzungen sind ausdrücklich untersagt:

• Weitergabe des Zugangs an Dritte außerhalb des Unternehmens
• Automatisierter Zugriff (Bots, Scraper) ohne ausdrückliche Genehmigung
• Reverse Engineering oder Dekompilierung der Software
• Upload von Schadsoftware oder schädlichen Inhalten
• Überlastung der Infrastruktur durch Massenanfragen
• Nutzung für illegale Zwecke jeglicher Art

2.4 Dateneingabe

Der Kunde ist allein verantwortlich für alle Daten, die er in die Software eingibt. Der Anbieter prüft keine eingegebenen Daten auf Richtigkeit oder Rechtmäßigkeit. Der Kunde stellt den Anbieter von Ansprüchen Dritter frei, die aus rechtswidrig eingegebenen Daten resultieren.

2.5 Kontosperrung

Der Anbieter ist berechtigt, den Zugang bei Verstoß gegen diese Nutzungsbedingungen, bei ausstehendem Zahlungsrückstand oder bei begründetem Sicherheitsrisiko vorübergehend oder dauerhaft zu sperren.

4. Datenschutzerklärung

3.1 Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist, soweit wir nicht als Auftragsverarbeiter tätig sind (siehe AVV), für die kostenlose Beta-Nutzung und für die entgeltlichen Tarife einschließlich der Buchungs-, Vertrags- und Rechnungsdaten:
Jörg Lortz (Einzelunternehmen)
Friedhofstr. 2a, 63500 Seligenstadt
E-Mail: [email protected]

Für Daten aus Verträgen, die vor Inkrafttreten der AGB-Fassung 2.0 mit Software und Büroservice Christine Schremmer geschlossen wurden, war bis zur Vertragsübernahme (Abschnitt 1b) diese Verantwortliche; ab der Übernahme ist es der oben genannte Anbieter.

3.1a Datenschutzbeauftragter

Die Bestellung eines Datenschutzbeauftragten ist für unser Unternehmen nach Art. 37 DSGVO i.V.m. § 38 BDSG nicht verpflichtend, da wir weniger als 20 Personen beschäftigen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Bei Fragen zum Datenschutz wenden Sie sich bitte an: [email protected]

3.2 Erhobene Daten

Bei der Nutzung von SL-UP werden folgende personenbezogene Daten verarbeitet:

• Stammdaten: Vorname, Nachname, E-Mail-Adresse, Benutzername, Abteilung
• Optionale Personaldaten: Geburtsdatum (zur Anzeige von Geburtstagen im Team-Kalender, freiwillige Angabe)
• Vertragsdaten: Firmenname, Adresse, Rechnungsdaten, USt-IdNr.
• Abwesenheitsdaten: Urlaubsanträge, Krankheitstage, Abwesenheitstypen, Datum und Dauer
• Gesundheitsbezogene Daten: Krankheitstage als besondere Kategorie personenbezogener Daten (Art. 9 DSGVO, siehe Abschnitt 3.3a)
• Zeiterfassungsdaten: Stechuhr-Einträge (Ein-/Ausstempelzeiten, Pausen, Arbeitsart)
• Schichtplanungsdaten: Schichtzuweisungen, Bestätigungen/Ablehnungen
• Technische Daten: IP-Adresse, Browser-Informationen, Session-Daten, Zugriffszeiten
• Zahlungsdaten: Bei kostenpflichtigen Tarifen Zahlungsart, Kartentyp mit letzten vier Ziffern bzw. letzte vier IBAN-Stellen und Mandatsreferenz; vollständige Karten- und Kontodaten verarbeitet allein Stripe (Abschnitt 3.5b). Für die kostenlose Beta werden keine Zahlungsdaten erhoben
• 2FA/TOTP-Daten: Bei aktivierter Zwei-Faktor-Authentifizierung wird ein kryptographischer Schlüssel (TOTP-Secret) verschlüsselt gespeichert (siehe Abschnitt 3.10a)

3.3 Rechtsgrundlagen

Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung der Software)
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtungen (z. B. Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen (Sicherheit, Missbrauchsverhinderung)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. optionale E-Mail-Benachrichtigungen, Geburtsdatum)

3.3a Besondere Kategorien: Gesundheitsdaten (Art. 9 DSGVO)

Krankheitstage stellen Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO dar und unterliegen einem besonderen Schutz. Die Verarbeitung erfolgt auf Grundlage von Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Erfüllung arbeitsrechtlicher Pflichten). Im Team-Kalender werden Krankheitstage nur als Kürzel „K" ohne medizinische Details angezeigt. Nur Administratoren und Manager haben Zugriff auf Krankheitsmeldungen ihrer Abteilung. Es werden keine Diagnosen, Arztdaten oder medizinischen Details gespeichert.

3.4 Zweck der Datenverarbeitung

Die erhobenen Daten werden ausschließlich verwendet für:

• Bereitstellung und Betrieb der Software-Funktionen
• Abrechnung und Rechnungsstellung
• Technischen Support und Fehlerdiagnose
• Zeiterfassung und Schichtplanung
• Geburtstags-Anzeige im Team-Kalender (optional)
• Sicherheitsmaßnahmen und Missbrauchserkennung (inkl. serverseitigem Bot-Schutz)
• Gesetzlich vorgeschriebene Aufbewahrung von Geschäftsdaten

3.5 Datenweitergabe & Auftragsverarbeiter (Art. 13 Abs. 1 lit. e DSGVO)

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur in folgenden Fällen. Folgende Auftragsverarbeiter werden eingesetzt:

Eine Weitergabe zu Werbezwecken oder an sonstige nicht genannte Dritte findet nicht statt. Bei gesetzlicher Verpflichtung (behördliche Anfrage, richterliche Anordnung) werden Daten entsprechend weitergegeben.

3.5a Kalender-Abonnements (iCal-Feeds)

SL-UP kann Abwesenheiten als Kalender-Datei im iCalendar-Format bereitstellen, damit sie in einer Kalender-Anwendung abonniert werden können. Es gibt zwei Ausprägungen:

• Persönliches Abo: enthält ausschließlich die eigenen genehmigten Abwesenheiten der abonnierenden Person.
• Abteilungs-Abo: enthält die genehmigten Abwesenheiten aller aktiven Personen einer Abteilung. Es kann ausschließlich von der Administration des jeweiligen Kunden angelegt werden.

Wer die Daten überträgt: Wir übermitteln diese Daten nicht von uns aus an Dritte. Abgerufen werden sie von derjenigen Kalender-Anwendung, in der das Abo eingerichtet wurde — typischerweise Google Calendar, Microsoft Outlook/Microsoft 365 oder Apple Kalender. Diese Anbieter werden dadurch nicht zu unseren Auftragsverarbeitern: Beauftragt werden sie nicht von uns, sondern von dem Kunden bzw. der abonnierenden Person, die das Abo einrichtet. Verantwortlich für diese Weitergabe im Sinne des Art. 4 Nr. 7 DSGVO bleibt der Kunde als Arbeitgeber.

Was das praktisch bedeutet: Nach dem Abruf liegen die Daten auf den Systemen des jeweiligen Kalender-Anbieters — außerhalb der Organisation des Kunden, außerhalb seines Netzwerks und je nach Anbieter auch außerhalb der Europäischen Union. Der Kunde ist gehalten, vorab zu prüfen, ob dies mit seinen internen Regelungen, seinem Verarbeitungsverzeichnis und gegebenenfalls bestehenden Mitbestimmungsrechten vereinbar ist.

Zugriffsschutz: Der Abruf erfolgt über eine Adresse mit einem zufällig erzeugten, nicht erratbaren Zugangsschlüssel und ohne Anmeldung — damit Kalender-Anwendungen automatisch aktualisieren können. Wer die Adresse kennt, kann die enthaltenen Daten lesen. Die Adresse ist deshalb wie ein Passwort zu behandeln. Persönliche Abos sind 90 Tage gültig; danach wird die Adresse automatisch ungültig und muss neu eingerichtet werden. Abteilungs- und Firmen-Abos sind unbefristet; sie enden, wenn die abonnierende Person deaktiviert wird oder ihr Passwort neu gesetzt wird. Abos können außerdem jederzeit widerrufen werden; ein Widerruf wirkt sofort. Beim Abteilungs- und Firmen-Abo erhält jede abonnierende Person eine eigene Adresse, sodass einzelne Zugänge entzogen werden können.

Gesundheitsdaten: Krankheitsbezogene Abwesenheiten werden in Kalender-Abos ausnahmslos neutral als „Abwesend“ übertragen — ohne Abwesenheitsart und ohne Notiz. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verlassen SL-UP über diesen Weg nicht. Freitext-Notizen werden bei Abteilungs-Abos standardmäßig nicht übertragen.

3.5b Zahlungsabwicklung (Stripe)

Für kostenpflichtige Tarife wickeln wir Zahlungen per Kreditkarte und SEPA-Lastschrift über die Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irland („Stripe“) ab. Die Eingabe der Zahlungsdaten erfolgt auf einer Bezahlseite von Stripe. Karten- und Kontodaten werden nicht auf unseren Servern gespeichert. Wir erhalten von Stripe nur Angaben zum Zahlungsstatus, den Kartentyp mit den letzten vier Ziffern bzw. die letzten vier Stellen der IBAN sowie die Mandatsreferenz.

• Verantwortlicher: Für Buchungs-, Vertrags- und Rechnungsdaten der kostenpflichtigen Tarife ist Jörg Lortz verantwortlich (Abschnitt 3.1).
• Verarbeitete Daten: Firmenname, Name der für die Buchung handelnden Person, Rechnungsanschrift, E-Mail-Adresse, gegebenenfalls USt-IdNr., gebuchte Leistungen und Beträge, Zahlungsdaten (Karten- bzw. Kontodaten, Mandat), technische Daten des Bezahlvorgangs (z. B. IP-Adresse, Gerätedaten). Daten der Beschäftigten des Kunden übermitteln wir nicht an Stripe.
• Zweck und Rechtsgrundlage: Abschluss und Durchführung des Vertrags sowie Zahlungseinzug (Art. 6 Abs. 1 lit. b DSGVO), Erfüllung steuer- und handelsrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).
• Rolle von Stripe: Soweit Stripe die Zahlung für uns abwickelt, handelt Stripe als unser Auftragsverarbeiter (Art. 28 DSGVO). Die Datenverarbeitungsvereinbarung von Stripe ist Bestandteil unseres Vertrags mit Stripe. Für eigene Zwecke handelt Stripe als eigenständiger Verantwortlicher: Auswahl von Banken und Zahlungsnetzwerken, Betrugs- und Missbrauchsabwehr, Risikomanagement sowie Erfüllung gesetzlicher Pflichten wie der Geldwäscheprävention. Dabei kann Stripe einzelne Zahlungen auch automatisiert ablehnen. Für diese Verarbeitung gilt die Datenschutzerklärung von Stripe. An der Zahlung beteiligte Banken und Kartennetzwerke verarbeiten die Daten ebenfalls in eigener Verantwortung.
• Drittland: Stripe übermittelt Daten auch an die Stripe, LLC in den USA. Stripe ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• SEPA-Lastschrift: Bei Zahlung per Lastschrift erteilen Sie ein SEPA-Lastschriftmandat. Die Vorabankündigung erhalten Sie per E-Mail von Stripe in unserem Namen.
• Speicherdauer: Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 14b UStG, § 147 Abs. 3 AO), übrige geschäftliche Korrespondenz sechs Jahre, jeweils ab Ende des Kalenderjahres. Stripe speichert Daten nach eigenen Aufbewahrungsregeln.
• Pflicht zur Bereitstellung: Ohne Rechnungs- und Zahlungsdaten können wir keinen kostenpflichtigen Tarif bereitstellen.

3.6 Datenspeicherung und -löschung

Daten werden gespeichert, solange das Vertragsverhältnis besteht oder gesetzliche Aufbewahrungspflichten dies erfordern. Speicherdauern je Datenkategorie (Art. 13 Abs. 2 lit. a DSGVO):

Datenkategorie	Speicherdauer	Rechtsgrundlage
Stammdaten (Name, E-Mail, Anmeldedaten)	Vertragsdauer + 30 Tage	Art. 6 Abs. 1 lit. b DSGVO
Datensicherungen (Backups)	bis zu 30 Tage, danach automatisch überschrieben	Art. 6 Abs. 1 lit. b und f DSGVO
Rechnungsdaten / Buchungsbelege	8 Jahre ab Ende des Kalenderjahres	§ 14b UStG, § 147 Abs. 3 AO, Art. 6 Abs. 1 lit. c DSGVO
Zeiterfassungsdaten (Stechuhr)	Freitext-Notizen: 2 Jahre (dann gelöscht). Zeitstempel: 7 Jahre (DE/AT) bzw. 10 Jahre (CH)	§ 16 Abs. 2 ArbZG (Mindestaufbewahrung), § 147 AO / § 212 UGB / Art. 958f OR (steuer- und handelsrechtliche Aufbewahrung)
Leistungszeit-Ortsstempel (optional)	Nur zusammen mit der jeweiligen Tätigkeit; Löschung bei Widerruf, Abschalten der Funktion oder Löschung der Zeitbuchung	Aufbewahrung und Rechtsgrundlage sind vom Arbeitgeber als Verantwortlichem für den jeweiligen Einsatz zu prüfen
Abwesenheiten inkl. Krankenabwesenheiten, Nachweis-Anhänge (z. B. AU-Bescheinigungen; Funktion derzeit nicht freigeschaltet)	24 Monate (Notizen anonymisiert, Anhänge gelöscht)	§ 26 BDSG, Art. 9 DSGVO, Art. 5 DSGVO
Audit-Log – fachliche Änderungen	180 Tage	Art. 5 Abs. 1 lit. c und e DSGVO (Datenminimierung)
Audit-Log – arbeitszeitrelevante Änderungen	3 Jahre	§ 16 Abs. 2 ArbZG, § 195 BGB, Art. 6 Abs. 1 lit. c DSGVO
Audit-Log – sicherheitsrelevante Vorgänge und Sicherheitsereignisse	1 Jahr	Art. 32 DSGVO (Nachweisbarkeit), Art. 6 Abs. 1 lit. f DSGVO
Audit-Log – erfolgreiche API-Zugriffe	30 Tage	Art. 5 Abs. 1 lit. c DSGVO (Datenminimierung)
Änderungshistorie – Arbeitszeit und Abwesenheiten	3 Jahre	Nachweis und Korrektur arbeitszeit- und urlaubsrelevanter Änderungen
Änderungshistorie – Stammdaten und Löschschnappschüsse	180 Tage	Fehlerkorrektur und Nachvollziehbarkeit; Geheimnisse werden nicht übernommen, Art.-17-Löschungen entfernen auch die Historie
Benachrichtigungen	90 Tage	Art. 6 Abs. 1 lit. f DSGVO

Nach Vertragsende werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Automatisierte Entscheidungsfindung (Art. 22 DSGVO): Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt. Automatische Genehmigungen von Urlaubsanträgen erfordern ausdrückliche Freigabe durch einen Admin oder Manager. Stripe kann als eigener Verantwortlicher Zahlungen zur Betrugsabwehr automatisiert ablehnen; siehe Abschnitt 3.5b.

Datenpflicht: Die Bereitstellung von Name und E-Mail-Adresse ist für den Vertragsabschluss erforderlich. Ohne diese Daten kann kein Nutzerkonto angelegt werden. Die Angabe weiterer Daten (z. B. Telefon, Abteilung) ist freiwillig.

3.7 Ihre Rechte (Betroffenenrechte)

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Information über gespeicherte Daten
• Berichtigungsrecht (Art. 16 DSGVO): Korrektur falscher Daten
• Löschungsrecht (Art. 17 DSGVO): Löschung unter bestimmten Voraussetzungen
• Einschränkungsrecht (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitung
• Beschwerderecht bei der zuständigen Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de

Zur Ausübung Ihrer Rechte wenden Sie sich an: [email protected]

3.8 Cookies und technische Speicherung

SL-UP verwendet technisch notwendige Session-Cookies zur Aufrechterhaltung der Anmeldesitzung. Zusätzlich werden UI-Einstellungen (z. B. Sidebar-Status) sowie Ihre Cookie-Entscheidung im localStorage des Browsers gespeichert; für die Cookie-Entscheidung selbst wird bewusst kein Cookie gesetzt.

Darüber hinausgehende Cookies zu Analyse- oder Werbezwecken setzen wir nur auf den öffentlichen Marketing-Seiten und nur nach Ihrer ausdrücklichen Einwilligung ein — Einzelheiten dazu in Abschnitt 3.8b.

Im eingeloggten Portal findet kein Tracking statt. Dort werden ausschließlich die oben genannten technisch notwendigen Cookies eingesetzt. Externe Medien-Einbettungen verwenden wir auf keiner Seite.

3.8b Reichweitenmessung und Werbung auf den öffentlichen Seiten (nur mit Ihrer Einwilligung)

Auf unseren öffentlichen Marketing-Seiten setzen wir Google Analytics 4 und Google Ads ein — allerdings ausschließlich dann, wenn Sie zuvor ausdrücklich eingewilligt haben. Ohne Ihre Einwilligung wird kein entsprechendes Skript geladen und es entsteht keinerlei Verbindung zu Google.

• Zweck: Wir möchten verstehen, wie Besucher auf unsere Seite gelangen, welche Inhalte genutzt werden und ob unsere Werbeanzeigen wirken.
• Verarbeitete Daten: gekürzte IP-Adresse, Browser- und Geräteangaben, aufgerufene Seiten, Verweisquelle, Zeitpunkt des Zugriffs sowie die Information, ob Sie sich für die Beta vorgemerkt haben (Conversion). Wir aktivieren die IP-Kürzung; eine Zusammenführung mit Ihrem Nutzerkonto findet nicht statt.
• Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG (vormals TTDSG).
• Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google LLC in die USA ist nicht ausgeschlossen; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023).
• Speicherdauer: Die von Google gesetzten Cookies laufen spätestens nach 24 Monaten ab. Ereignisdaten in Google Analytics werden nach 14 Monaten gelöscht.
• Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen“ im Seitenfuß. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Solange Sie nicht einwilligen oder Ihre Einwilligung widerrufen, funktioniert die Seite vollständig und uneingeschränkt. Es entsteht Ihnen kein Nachteil.

Cookie-Einstellungen ändern

3.8c Newsletter

Auf unseren öffentlichen Seiten können Sie unseren Newsletter abonnieren. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse erhalten Sie eine Bestätigungsmail. Erst wenn Sie den darin enthaltenen Link anklicken, nehmen wir Sie in den Verteiler auf.

• Verarbeitete Daten: Ihre E-Mail-Adresse sowie – als Nachweis der Einwilligung – Zeitpunkt und IP-Adresse der Anmeldung, Zeitpunkt und IP-Adresse der Bestätigung, die verwendete Browserkennung sowie der genaue Wortlaut der Einwilligung samt Fassung.
• Zweck: Versand des Newsletters mit Produktneuheiten, Praxistipps zur Urlaubs- und Schichtplanung sowie Hinweisen auf rechtliche Änderungen; Nachweis der erteilten Einwilligung.
• Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Protokollierung der Einwilligung stützt sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Nachweispflicht aus Art. 7 Abs. 1 DSGVO.
• Empfänger: Kein Newsletter-Dienstleister. Für Verwaltung und Versand nutzen wir die selbst betriebene Software Sendy auf einem eigenen Mailserver in Deutschland. Als Auftragsverarbeiter im Sinne von Art. 28 DSGVO ist daran allein unser Rechenzentrumsbetreiber beteiligt, die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, mit dem ein Auftragsverarbeitungsvertrag besteht; die Server stehen in Deutschland. Ihre Adresse wird an keinen weiteren Dritten übermittelt und verlässt die EU nicht. Beim Versand selbst erreicht Ihre E-Mail naturgemäß den Anbieter Ihres eigenen Postfachs.
• Speicherdauer: Anmeldungen, die nicht innerhalb von 30 Tagen bestätigt werden, löschen wir automatisch. Nach einer Abmeldung entfernen wir Ihre Adresse aus dem Versand; der Einwilligungsnachweis wird zur Erfüllung unserer Nachweispflicht weiter aufbewahrt und auf Wunsch gelöscht.
• Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder Newsletter-E-Mail, über die Seite Newsletter abbestellen oder formlos per E-Mail an [email protected]. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Eine Auswertung des individuellen Öffnungs- oder Klickverhaltens einzelner Empfänger nehmen wir nicht vor.

3.8d Kontaktformular

Über unser Kontaktformular können Sie uns eine Nachricht senden.

• Verarbeitete Daten: Name, E-Mail-Adresse und Inhalt Ihrer Nachricht. Zur Begrenzung missbräuchlicher Anfragen speichern wir außerdem Ihre IP-Adresse (bei IPv6 nur den Netzanteil) und einen Hashwert Ihrer E-Mail-Adresse; diese Einträge werden nach einer Stunde bei der nächsten automatischen Bereinigung gelöscht.
• Zweck und Rechtsgrundlage: Bearbeitung und Beantwortung Ihrer Anfrage. Betrifft sie einen bestehenden oder angebahnten Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die Missbrauchsbegrenzung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO.
• Empfänger und Speicherung: Die Nachricht wird per E-Mail an unser Postfach [email protected] übermittelt und nur dort gespeichert, nicht in einer Datenbank. Sie erhalten keine automatische Antwort-E-Mail. Wir löschen die Nachricht, wenn Ihre Anfrage erledigt ist, soweit keine gesetzliche Aufbewahrungspflicht besteht (z. B. für Geschäftsbriefe).

3.8a Datenschutz für Nutzer in der Schweiz (nDSG)

Für Nutzer mit Wohnsitz oder Sitz in der Schweiz gelten ergänzend die Bestimmungen des Schweizer Datenschutzgesetzes (nDSG, in Kraft seit 01.09.2023). Als Verantwortlicher im Sinne des nDSG informieren wir: Sie haben das Recht auf Auskunft (Art. 25 nDSG), Berichtigung (Art. 32 nDSG), Löschung und Datenherausgabe. Beschwerden können an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch) gerichtet werden. Datenübermittlungen in die EU erfolgen auf Grundlage des Angemessenheitsbeschlusses der Schweiz gegenüber der EU (Art. 16 nDSG).

3.9 Auftragsverarbeitung & Hinweis für Mitarbeitende

Soweit Kunden (Unternehmen) SL-UP für die Verwaltung von Mitarbeiterdaten nutzen, agiert der Anbieter als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Den vollständigen Auftragsverarbeitungsvertrag (AVV) finden Sie hier: AVV gem. Art. 28 DSGVO. Bei Fragen wenden Sie sich an: [email protected]

Hinweis für Mitarbeitende (Betroffene): Diese Datenschutzerklärung richtet sich primär an die Kunden (Arbeitgeber/Auftraggeber) von SL-UP. Wenn Ihre Daten (Abwesenheiten, Zeiterfassung etc.) durch Ihren Arbeitgeber über SL-UP verwaltet werden, ist Ihr Arbeitgeber der datenschutzrechtlich Verantwortliche gemäß Art. 4 Nr. 7 DSGVO. SL-UP agiert dabei als Auftragsverarbeiter. Für Auskünfte nach Art. 15 DSGVO, Berichtigungen nach Art. 16 DSGVO oder die Ausübung sonstiger Betroffenenrechte wenden Sie sich bitte direkt an Ihren Arbeitgeber. SL-UP leitet entsprechende Anfragen gemäß Art. 28 Abs. 3 lit. e DSGVO an den zuständigen Kunden weiter.

3.10 Sicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten vor Verlust, Zerstörung, Manipulation und unberechtigtem Zugriff zu schützen. Dazu gehören insbesondere die Verschlüsselung der Datenübertragung, Zugriffskontrolle, regelmäßige verschlüsselte Datensicherungen, Schutz vor gängigen Angriffen sowie die Speicherung von Passwörtern nach dem Stand der Technik.

3.10a Zwei-Faktor-Authentifizierung (2FA/TOTP)

SL-UP bietet optional eine Zwei-Faktor-Authentifizierung (2FA) mittels TOTP (Time-based One-Time Password) an. Bei Aktivierung wird ein kryptographischer Schlüssel generiert und verschlüsselt gespeichert. Dieser Schlüssel wird ausschließlich zur Generierung zeitbasierter Einmalpasswörter verwendet. Alternativ kann ein E-Mail-basierter 2FA-Code gesendet werden. Die 2FA-Daten werden bei Deaktivierung oder Löschung des Benutzerkontos unwiderruflich gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kontosicherheit).

3.10b Bot-Schutz

Zur Abwehr automatisierter Zugriffe (Bots) auf Login-Seite und öffentliche Formulare setzen wir einen Bot-Schutz ein, der auf unseren eigenen Servern läuft. Bei diesem Schutz werden keine Daten an externe Drittanbieter übermittelt; die Prüfung erfolgt vollständig auf unseren eigenen Servern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Anwendung).

Cloudflare Turnstile auf öffentlichen Formularen: Zusätzlich setzen wir auf folgenden öffentlichen Formularen den Dienst Cloudflare Turnstile der Cloudflare, Inc. (USA) ein: Vormerk-Formular der Startseite, Newsletter-An- und -Abmeldung. Bereits beim Aufruf dieser Seiten – nicht erst beim Absenden eines Formulars – wird ein Prüfskript von Servern von Cloudflare geladen. Dabei verarbeitet Cloudflare unter anderem Ihre IP-Adresse, Browser- und Verbindungsmerkmale sowie die Herkunftswebsite, um menschliche von automatisierten Zugriffen zu unterscheiden. Beim Absenden übermittelt unser Server den dabei erzeugten Sicherheitsnachweis zusammen mit Ihrer IP-Adresse zur Prüfung an Cloudflare; die von Ihnen eingegebenen Formularinhalte (z. B. Name oder E-Mail-Adresse) übermitteln wir dabei nicht. Im Kundenportal (Login und angemeldeter Bereich) wird Turnstile nicht eingesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Formulare vor Spam, Missbrauch und automatisierten Angriffen). Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework sowie ergänzend der EU-Standardvertragsklauseln. Einzelheiten: Turnstile Privacy Addendum.

Optionale Terminbuchung: Anbieter können auf ihrer öffentlichen Buchungsseite zusätzlich Cloudflare Turnstile aktivieren. Diese Option ist standardmäßig ausgeschaltet. Erst nach Auswahl von „Sicherheitsprüfung laden“ wird der Dienst von Cloudflare, Inc. verbunden. Dabei verarbeitet Cloudflare unter anderem IP-Adresse, Browser-/Verbindungsmerkmale und die Herkunftswebsite zur Bot-Abwehr sowie zur Verbesserung der Bot-Erkennung. Unsere serverseitige Prüfung übermittelt den Sicherheitsnachweis; Name, E-Mail-Adresse und Termindetails werden nicht als Prüfparameter übermittelt. Bei deaktivierter Option werden keine Turnstile-Ressourcen geladen.

Der für die Terminvereinbarung verantwortliche Anbieter nennt die Rechtsgrundlage und weitere Angaben zur Verarbeitung in seinem Datenschutzhinweis auf der Buchungsseite. Cloudflare handelt laut eigenen Angaben zur Absicherung der Website als Auftragsverarbeiter und zur Verbesserung der Bot-Erkennung als eigener Verantwortlicher. Einzelheiten und Kontaktmöglichkeiten: Turnstile Privacy Addendum. Wenn Sie die externe Sicherheitsprüfung nicht nutzen möchten, wenden Sie sich über die angegebene Kontaktadresse an den Anbieter.

3.10c Drittlandtransfers (Art. 44–49 DSGVO)

Soweit Daten an Empfänger in Drittländern (insbes. USA) übermittelt werden, stützen wir uns auf folgende Garantien nach Art. 44 ff. DSGVO:

• Apple Inc. (USA): Zustellung von Push-Benachrichtigungen der iOS-App über den Apple Push Notification service (APNs); übermittelt wird ein pseudonymes Geräte-Token. Übermittlung auf Basis des EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln als Fallback-Garantie.
• Google LLC (USA): Zustellung optionaler Push-Benachrichtigungen der Android-App über Firebase Cloud Messaging (FCM); übermittelt werden ein pseudonymes Geräte-Token, technisch notwendige Geräteinformationen sowie Titel und Text der jeweiligen Mitteilung. Übermittlung auf Basis des EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln als Fallback-Garantie.
• Stripe, LLC (USA): Zahlungsabwicklung für kostenpflichtige Tarife (Abschnitt 3.5b). Übermittlung auf Basis des EU-US Data Privacy Framework (Art. 45 DSGVO) sowie ergänzend der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Cloudflare, Inc. (USA): Reverse-Proxy/CDN und DDoS-Schutz für sämtlichen Zugriff auf sl-up.com sowie Cloudflare Turnstile auf öffentlichen Formularen (Abschnitt 3.10b) und optional bei der Terminbuchung. Übermittlung auf Basis des EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln (SCC) als ergänzende Garantie nach Art. 46 Abs. 2 lit. c DSGVO.

Kalender-Abonnements: Richtet ein Kunde oder eine Nutzerin ein Kalender-Abo (Abschnitt 3.5a) in einem Dienst mit Sitz oder Rechenzentren außerhalb der EU ein, entsteht ein Drittlandtransfer, den der Kunde als Verantwortlicher auslöst und zu bewerten hat. Wir stellen die Daten lediglich zum Abruf bereit und weisen im Produkt vor dem Anlegen eines Abteilungs-Abos ausdrücklich darauf hin.

Wir weisen darauf hin, dass in den USA ein mit der EU nicht gleichwertiges Datenschutzniveau besteht. US-Behörden können unter Umständen auf Basis von FISA Section 702 / EO 12333 Zugriff auf Daten nehmen. Wir haben für die o.g. Drittlandtransfers an Apple, Google und Cloudflare eine Transfer Impact Assessment (TIA) durchgeführt und sind zu dem Ergebnis gekommen, dass die kombinierten Garantien (DPF + SCC + technische Maßnahmen) ein angemessenes Schutzniveau bieten. Die TIA ist auf Anfrage bei [email protected] erhältlich.

5. Impressum

Anbieter und Verantwortlicher (kostenlose Beta und kostenpflichtige Tarife):

Jörg Lortz
Einzelunternehmen
Friedhofstr. 2a
63500 Seligenstadt
Deutschland

Kontakt:
E-Mail: [email protected]
Kontaktformular

Umsatzsteuer-Identifikationsnummer: DE237915275

Hinweis: Die Ergebnisse der Software hängen von den Eingaben und Einstellungen des Kunden ab. Für die Haftung gelten § 8 in Abschnitt 1 und, bei entgeltlichen Tarifen, § 13 in Abschnitt 1a.

Urheberrecht: Die Software SL-UP ist urheberrechtlich geschützt. Alle Rechte vorbehalten. © Christine Schremmer & Jörg Lortz

6. Streitbeilegung

Wir sind gemäß § 36 VSBG (Verbraucherstreitbeilegungsgesetz) weder bereit noch verpflichtet, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.